Hai solo bisogno di filtrare il tag "<" e l'apostrofo " ' ". Io uso sempre eregi_replace:

Codice PHP:
$messaggio = eregi_replace("<","&lt;",$messaggio);
$messaggio = eregi_replace("'","'",$messaggio);